squiblydoo/certreportEin Tool zur Unterstützung der Meldung von Authenticode Certificates, indem es den Aufwand für Einzelpersonen bei der Meldung reduziert.
Dieses Tool soll den Aufwand reduzieren, der zum Melden von Authenticode-Zertifikaten erforderlich ist. Es ist darauf ausgelegt, dem Melder so wenig Aufwand wie möglich abzuverlangen, aber der Zertifizierungsstelle die meisten Informationen zu liefern, die sie für eine Entscheidung benötigt. Wann immer möglich, wird empfohlen, den Bericht mit eigenen Erkenntnissen zu ergänzen, damit der Zertifikatsanbieter weiß, welche verdächtigen Indikatoren Sie gefunden haben.
Ab Version 2 haben wir Unterstützung für die VirusTotal-API hinzugefügt. Um die VirusTotal-API zu ermöglichen, haben wir zusätzliche Funktionen eingebaut. Das Standardverhalten von CertReport ist die Abfrage von MalwareBazaar, die keinen API-Schlüssel erfordert.
In Version 3 haben wir eine SQLite-Datenbank hinzugefügt, die Informationen über die Berichte speichert. Diese kann als persönliche Referenz genutzt werden, ergänzt aber auch den Bericht. Weitere Informationen dazu finden Sie im Datenbankabschnitt unten!
Nutzen Sie pip! pip install certReport oder pip3 install certReport
Hinweis: In Version 2 ist es erforderlich, den Schalter --hash (oder -#) anzugeben.
Hier ist ein Beispiel:
Aufruf des Skripts mit einer SHA256 wie dieser:
certReport --hash 89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9
Gibt die folgenden Informationen auf der Konsole aus:
---------------------------------
Greetings,
We identified a malware signed with a SSL.com EV Code Signing Intermediate CA RSA R3 certificate.
The malware sample is available on MalwareBazaar here: https://bazaar.abuse.ch/sample/89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9
Here are the signature details:
Name: A.P.Hernandez Consulting s.r.o.
Issuer: SSL.com EV Code Signing Intermediate CA RSA R3
Serial Number: 2941d5f8758501f9dbc4ba158058c3b5
SHA256 Thumbprint: a982917ba6de9588f0f7ed554223d292524e832c1621acae9ad11c0573df54a5
Valid From: 2024-01-25T16:51:40Z
Valid Until: 2025-01-24T16:51:40Z
The malware was tagged as exe, Pikabot and signed.
MalwareBazaar submitted the file to multiple public sandboxes, the links to the sandbox results are below:
Sandbox / Malware Family / Verdict / Analysis URL
Intezer None unknown https://analyze.intezer.com/analyses/c4915ef4-198f-4aba-81ed-81b29cd4dce6?utm_source=MalwareBazaar
Triage pikabot 10 / 10 https://tria.ge/reports/240222-pqlqkshb2w/
VMRay Pikabot malicious https://www.vmray.com/analyses/_mb/89dc50024836/report/overview.html
Please let us know if you have any questions.
------------------------
Send the above message to the certificate provider.
This report should be sent to SSL.com: https://ssl.com/revoke
Diese Informationen sind dem Zertifikatsaussteller über die geeigneten Missbrauchs-Meldekanäle (z. B. E-Mail oder Website) zu übermitteln. Der geeignete Kanal wird am Ende des Berichts angegeben (siehe oben).
In Version 2 wurde es möglich, VirusTotal abzufragen. Um VirusTotal zu verwenden, richten Sie zuerst Ihren API-Schlüssel mit der für Ihr Betriebssystem geeigneten Methode ein:
On Linux:
echo "export VT_API_KEY=your_api_key_here" >> ~/.bashrc
source ~/.bashrc
On Windows:
setx VT_API_KEY "your_api_key"
On MacOS:
echo "export VT_API_KEY=your_api_key_here" >> ~/.zprofile
source ~/.zprofile
Sobald der API-Schlüssel als Umgebungsvariable konfiguriert ist, erzeugt der folgende Befehl einen Bericht:
certReport --hash 89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9 --service virustotal
Alternativ können die Schalter vereinfacht werden:
certReport -# 89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9 -s VT
Beide Befehle liefern den folgenden Bericht:
---------------------------------
Greetings,
We identified a malware signed with a SSL.com EV Code Signing Intermediate CA RSA R3 certificate.
The malware sample is available on VirusTotal here: https://www.virustotal.com/gui/file/89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9/detection
Here are the signature details:
Name: A.P.Hernandez Consulting s.r.o.
Issuer: SSL.com EV Code Signing Intermediate CA RSA R3
Serial Number: 56 B6 29 CD 34 BC 78 F6
Thumbprint: 743AF0529BD032A0F44A83CDD4BAA97B7C2EC49A
Valid From: 2017-05-31 18:14:37
Valid Until: 2042-05-30 18:14:37
The malware was tagged as a peexe, long-sleeps, spreader, detect-debug-environment, service-scan, overlay, revoked-cert, signed and checks-user-input.
The malware was detected by 50 out of 74 antivirus engines.
The malware was classified as trojan by 30 detection engines.
The file was flagged as pikabot by 23 detection engines, zusy by 6 detection engines and gdfvt by 2 detection engines
This file was found during our investigation and had the following suspicious indicators:
- The file triggered the following high IDS rules:
- ET CNC Feodo Tracker Reported CnC Server group 1
- ET CNC Feodo Tracker Reported CnC Server group 2
Please let us know if you have any questions.
------------------------
Send the above message to the certificate provider.
This report should be sent to SSL.com: https://ssl.com/revoke
Wie bereits erwähnt, wird empfohlen, gegen Ende des Berichts weitere Aufzählungspunkte hinzuzufügen. Diese sollten Erkenntnisse aus Ihrer eigenen Untersuchung enthalten. Diese Details können dem Zertifikatsanbieter als Entscheidungshilfe dienen.
Um Berichte in den Cert Graveyard zu übertragen, verwenden Sie die Option -p. Dazu muss ein CertGraveyard-API-Schlüssel als Umgebungsvariable mit dem Namen „CERT_GRAVEYARD_API" festgelegt sein. Den API-Schlüssel erhalten Sie auf Ihrer Profilseite, wenn Sie bei TheCertGraveyard.org angemeldet sind.
Please set your certGraveyard API key by running the doing the following:
On Linux:
echo "CERT_GRAVEYARD_API=your_api_key_here" >> ~/.bashrc
source ~/.bashrc
On Windows:
setx CERT_GRAVEYARD_API "your_api_key"
On MacOS:
echo "export CERT_GRAVEYARD_API=your_api_key_here" >> ~/.zprofile
source ~/.zprofile
In Version 3 wird eine Datenbank mit Informationen über alle mit certReport verarbeiteten Zertifikate gespeichert. Diese Datenbank enthält die meisten Details, die im Bericht vorkommen. Beim Ausführen des Befehls kann der Benutzer die Option -t verwenden und eine Malware-Familie angeben. Wenn der Benutzer dies tut, fügt der Bericht den vom Benutzer angegebenen Namen zur Datenbank hinzu und prüft die Datenbank auf weitere Vorkommen dieses Malware-Namens. Bei Übereinstimmungen wird der Bericht um Informationen darüber ergänzt, wie oft diese Malware bereits gemeldet wurde. Zum Beispiel könnte er eine Meldung wie die folgende am unteren Ende des Berichts ausgeben:
We have reported this same malware to SSL.com 2 times. We have reported the malware to other providers 10 times.
In der aktuellen Version muss die Datenbank mit einem SQLite-Datenbank-Viewer angezeigt oder verwaltet werden. Sie kann nicht innerhalb des Programms angezeigt oder verwaltet werden.
HINWEIS: Wenn der Benutzer die Anwendung mit demselben Hash ausführt, wird die erste Instanz des Hashs aus der Datenbank entfernt und durch die neuen Informationen ersetzt.
Die Datenbank wird in einem Ordner im Benutzerverzeichnis erstellt. Der Ordner heißt „certReport" und die Datenbank wird „certReport.db" genannt.
Scheuen Sie sich nicht, Änderungen am Skript vorzuschlagen, z. B. zusätzliche E-Mail-Adressen von Zertifikatsanbietern oder Meldeverfahren. Die halbe Mühe beim Melden besteht darin, herauszufinden, wohin Zertifikate eingereicht werden müssen.
Seit 2018 werden die meisten Zertifikate nicht mehr gestohlen, sondern an Hochstapler ausgestellt (dieser Fall wird in einem wissenschaftlichen Artikel hier dargelegt: http://users.umiacs.umd.edu/~tdumitra/papers/WEIS-2018.pdf). Ich nenne diese „Impostor Certs“. Im Jahr 2023 veröffentlichte ich meine Forschung zu 50 Zertifikaten, die von einem Akteur verwendet wurden. Meine Ergebnisse bestätigten, dass Zertifikate zum Signieren mehrerer Malware-Familien verwendet werden: https://squiblydoo.blog/2023/05/12/certified-bad/. Im Jahr 2024 veröffentlichte ich einen Artikel über Impostor-Zertifikate, nachdem ich 100 Zertifikate widerrufen hatte, die zum Signieren derselben Malware verwendet wurden. Dieser Artikel kann hier gelesen werden: https://squiblydoo.blog/2024/05/13/impostor-certs/.
Die Kurzfassung lautet: Mehrere Akteure verwenden dasselbe Zertifikat, und die Meldung eines Zertifikats erhöht die Kosten des Signierens für alle Bedrohungsakteure und kann sich auf mehrere Malware-Kampagnen auswirken.